要让 windows 本地防火墙拦截所有来自外网（即非本机所在局域网）的入站 icmp 请求，关键不是“完全禁止所有 icmp”，而是精准限制作用域——只放行内网响应、阻断公网来源。windows 防火墙本身不区分“内网/外网”地理概念，但可通过 作用域（scope） 设置实现等效效果。
明确目标：只拦外网，不误伤内网调试
直接禁用全部入站 ICMP 会同时切断局域网内同事 ping 你电脑的能力，影响日常协作和排障。正确做法是创建一条高优先级的“阻止规则”，限定其仅对远程 IP 地址不属于你所在子网的流量生效，而保留内网通信畅通。
通过高级安全控制台创建精确拦截规则
按以下步骤操作（适用于 Windows 10/11）：
- 按 Win+R 输入
wf.msc，回车打开“高级安全 Windows Defender 防火墙” - 左侧选“入站规则”，右侧点“新建规则…”
- 规则类型选“自定义”，下一步
- 程序选“所有程序”，下一步
- 协议和端口 → 协议类型选“ICMPv4”，点击“自定义…” → 勾选“所有 ICMP 类型”，确定，下一步
- 作用域 → 在“远程 IP 地址”区域，选“下列 IP 地址”，点击“添加…” → 输入你所在局域网的网段（例如：
192.168.1.0/24或10.0.0.0/8），再点击“除外”复选框（⚠️这一步最关键：表示“除了这些地址，其他都匹配本规则”） - 操作选“阻止连接”，下一步
- 配置文件勾选你希望启用该规则的网络类型（通常建议勾选“专用”和“公用”，保留“域”用于企业环境）
- 命名规则，如“阻止外网ICMP入站（作用域除外）”，完成
验证与补充说明
该规则生效后：
- 同一局域网设备（如
192.168.1.50）ping 你，仍能收到回复 - 公网IP或非本子网设备（如手机热点下的
172.20.10.3）ping 你，将无响应（超时） - 你的电脑主动 ping 外网（出站 ICMP）不受影响，因出站默认允许
如需同时管控 IPv6 流量，需重复上述流程，协议类型选择“ICMPv6”，并配置对应 IPv6 子网（如 fd00::/8 或 fc00::/7）。
命令行快速部署（管理员 PowerShell）
若需批量部署或脚本化，可用以下命令（替换 192.168.1.0/24 为你实际内网段）：
New-NetFirewallRule -DisplayName "Block External ICMPv4" -Direction Inbound -Protocol ICMPv4 -RemoteAddress 192.168.1.0/24 -RemoteAddressExclusion -Action Block -Profile Domain,Private,Public
